LeeftijdsVerificatie en phishing
🇬🇧 De Britse overheid wil naar verluidt (vandaag: https://www.security.nl/posting/956023/%27Britse+overheid+wil+paspoortcontroles+voor+toegang+tot+social+media%27) dat Britse kinderen paspoortscans gaan uploaden naar websites waar leeftijdsgrenzen voor gelden.
🇳🇱 De Nederlandse overheid wil (ook vandaag: https://www.security.nl/posting/955883/Kabinet+ziet+Europese+ID-wallet+als+oplossing+voor+online+leeftijdsverificatie)dat mensen m.b.v. een digitale identity wallet hun leeftijd (of bijv. "is ouder dan xx jaar") gaan "aantonen".
Naast onder meer privacybezwaren en het gemak waarmee online leeftijdsverificatie omzeild kan worden, speelt nog een (m.i. enorm onderschat) risico:
phishing en nepwebsites.
Via phishingberichten (ook op social media) kunt u, of kinderen, naar een nepwebsite worden gestuurd die claimt dat u uw leeftijd (of "is ouder dan n jaar") moet aantonen.
Zelfs als leeftijdsverificatie níet vereist is voor de (nagemaakte) echte website (of als je daar al eerder jouw leeftijd hebt aangetoond), zal het aantal nepsites dat claimt dat je een scan van jouw identiteitsbewijs moet uploaden, of met een "identity wallet" jouw leeftijd (en wie weet wat ze nog meer van je willen weten) moet aantonen, snel toenemen.
Met uw "identificerende gegevens" die door de overheid gevalideerd zijn, kan de beheerder van zo'n nepwebsite afschuwelijke dingen doen en u veel schade berokkenen - waarbij het zeer lastig voor u is om aan te tonen dat u in een val bent gelokt.
Bij informatie uit een identity-wallet kan zo'n nepwebsite, als een "Attacker in the Middle", die informatie naar een andere website doorsturen en zich daarbij voordoen als u (en u bijv. een foutmelding laten zien). Hoe meer informatie de nepwebsite uit uw identity-wallet opvraagt (met uw toestemming), hoe makkelijker daarmee identiteitsfraude gepleegd kan worden.
Een scan van een identiteitsbewijs is helemaal de natte droom van identiteitsfraudeurs.
Nb. met uw gevalideerde identificerende gegevens kan de beheerder van een nep Roblox-website zich niet alleen op een echte Roblox-website als u voordoen, maar daarmee kan hij/zij mogelijk ook bijv. een lening of creditcard op uw naam aanvragen.
VOORBEELD: NEP ROBLOX-WEBSITES
Een voorbeeld van 30 nepwebsites (waar het van barst op internet) ziet u in het plaatje hieronder. Het gaat hierbij hoofdzakelijk om nep Roblox websites, vooral gericht op kinderen dus. Deze websites wisselen voortdurend van server-IP-adres om blokkades door "blocklists" te omzeilen.
De gegevens in het plaatje (een screenshot van een tekstbestand zoals ik ze maak) zijn afkomstig uit https://www.virustotal.com/gui/ip-address/5.175.169.201/relations (open het RELATIONS tabblad indien dat niet vanzelf gaat; meer info over de getoonde gegevens in de Alt tekst).
Mijn bron voor de tweede domeinnaam in het plaatje was https://infosec.exchange/@urldna/117387600672270808. Meer informatie over nep game-websites vindt u in https://censys.com/blog/roblox-minecraft-and-the-insidious-internet-for-children/.
CONCLUSIE
Online leeftijdsverificatie wordt een drama. Identiteitsfraude en phishing zijn sowieso al rap groeiende problemen (zie ook mijn toot i.r.t. de vandaag bekend geworden datalekken van Deense en Waalse burgers: https://todon.nl/@ErikvanStraten/117387498178704850), maar online leeftijdsverificatie gaat identiteitsfraude enorm doen toenemen.
#LeeftijdsVerificatie #Phishing #PaspoortScan #AgeVerification #EUDIW #EDIW #IdentityWallet #DigitalIdentityWallet #NepWebSites #FakeWebSites #Roblox #MineCraft
